O pfSense entrega três tecnologias de VPN maduras: OpenVPN, IPsec e WireGuard. Todas funcionam bem, e a pergunta útil não é qual é a melhor no abstrato, e sim qual é a melhor para o seu cenário. A resposta muda conforme o que você precisa interligar, quem vai acessar, com quais equipamentos precisa conversar e quanto de gestão de usuário está em jogo.
Este guia compara as três por critérios que importam na decisão: desempenho, autenticação, interoperabilidade e travessia de firewall. No final, traz um resumo de qual costuma se encaixar em cada situação, para você escolher com base no uso e não na fama do protocolo.
IPsec: o padrão de interoperabilidade
O IPsec é o protocolo mais antigo e mais universal dos três. Ele é implementado por praticamente todo fabricante de firewall e roteador, o que o torna a escolha natural quando você precisa interligar o pfSense a um equipamento de outra marca. Se a matriz roda pfSense e a filial tem um firewall de outro fabricante, o IPsec costuma ser o terreno comum entre eles.
Em site-to-site, o IPsec é sólido e bem compreendido. Com o IKEv2, ele também atende acesso remoto de forma robusta, inclusive em dispositivos móveis que trocam de rede. O custo dessa flexibilidade é a complexidade: a negociação tem muitos parâmetros, e um detalhe errado nas fases de negociação impede o túnel de fechar. Ler os logs com atenção faz parte do jogo com IPsec.
OpenVPN: o mais flexível para acesso remoto
O OpenVPN é o mais versátil quando o assunto é acesso remoto de pessoas. Ele suporta autenticação por usuário e senha, integração com diretórios, autenticação em duas etapas e certificados, tudo de forma centralizada. Adicionar ou revogar o acesso de uma pessoa é um ato administrativo simples, o que importa muito em ambientes com equipe grande ou rotatividade.
Outra vantagem prática do OpenVPN é a travessia de redes restritivas. Como ele pode operar sobre TCP na porta 443, o tráfego se confunde com HTTPS comum e atravessa firewalls e redes de hotéis e cafés que bloqueiam quase tudo. Em troca, o OpenVPN costuma consumir mais CPU e entregar menos throughput bruto que o WireGuard no mesmo hardware.
WireGuard: o mais rápido e enxuto
O WireGuard é o mais moderno e, na maioria dos casos, o mais rápido. A criptografia é fixa e atual, a configuração é simples e o consumo de CPU é baixo. Para túneis site-to-site entre pontos que você controla e para links de maior banda, ele entrega desempenho com pouco esforço de máquina.
O que ele não traz é gestão de usuário. Não há login e senha por pessoa nem entrega centralizada de configuração. A autenticação é por chave, dispositivo a dispositivo. Isso é ótimo em times pequenos e trabalhoso em times grandes. O guia dedicado ao WireGuard no pfSense detalha essa parte.
Comparação por desempenho
Em desempenho bruto, a ordem típica coloca o WireGuard na frente, seguido pelo IPsec e depois pelo OpenVPN. O WireGuard aproveita bem a CPU e brilha em hardware modesto. O IPsec tem bom desempenho, principalmente com aceleração de criptografia no hardware. O OpenVPN é o mais pesado dos três, ainda que suficiente para a maioria dos cenários de acesso remoto.
Desempenho, porém, raramente é o único critério. Um túnel um pouco mais lento que autentica cada usuário e atravessa qualquer rede pode valer mais que o túnel mais rápido que não faz nada disso. A escolha equilibra velocidade com o resto das necessidades.
Comparação por autenticação e gestão
- OpenVPN: autenticação por usuário, integração com diretório, duas etapas e certificados, tudo centralizado.
- IPsec: autenticação por chave pré-compartilhada ou certificados, com IKEv2 atendendo bem o acesso móvel.
- WireGuard: autenticação por chave, dispositivo a dispositivo, sem controle central de usuário.
Comparação por interoperabilidade e travessia
Quando o assunto é conversar com equipamentos de outros fabricantes, o IPsec lidera com folga, por ser o padrão comum da indústria. Para atravessar redes restritivas que bloqueiam quase tudo, o OpenVPN sobre a porta 443 é o mais confiável. O WireGuard usa UDP e uma porta configurável, o que funciona na maioria das redes, mas pode encontrar barreira em ambientes que filtram UDP de forma agressiva.
Esses dois critérios costumam decidir sozinhos muitos casos. Uma interligação com equipamento de terceiro pende para IPsec. Um acesso remoto que precisa funcionar de qualquer lugar, inclusive redes hostis, pende para OpenVPN.
Qual escolher em cada cenário
Boas práticas
- Site-to-site entre pfSense que você controla: WireGuard pelo desempenho, ou IPsec se já for o padrão da casa.
- Interligação com firewall de outro fabricante: IPsec, pela interoperabilidade.
- Acesso remoto de equipe grande, com diretório e duas etapas: OpenVPN.
- Acesso remoto que precisa atravessar qualquer rede: OpenVPN na porta 443.
- Acesso remoto de time pequeno, priorizando velocidade: WireGuard.
- Acesso móvel que troca de rede com frequência: IPsec com IKEv2.
Onde a OpenSourceBrasil entra
Escolher a VPN certa é uma decisão de arquitetura, não de preferência. Ela depende do que a empresa precisa interligar, de quem acessa e dos equipamentos envolvidos. A OpenSourceBrasil projeta e implementa VPN site-to-site e VPN de acesso remoto no pfSense, escolhendo entre OpenVPN, IPsec e WireGuard conforme o cenário, com autenticação adequada e ambiente documentado.